Exemple de cas : l'entreprise SHIPBUILDER (cas fictif)

Vous êtes chef d'entreprise de SHIPBUILDER, une organisation qui construit des bateaux. Celle-ci est composée de 8 départements:

• RH

• Secrétariat Général

• Production

• Marketing & ventes

• Sécurité

• Informatique

• Juridique

• Achats

Vous avez décidé de mettre votre entreprise en conformité avec le Règlement Général de la Protection des Données (RGPD). Après avoir lu l'article de la CNIL sur la préparation RGPD en six étapes, vous débutez sans plus attendre.

Etape 1 : Désigner un délégué à la protection des données (DPO)

Tout d'abord, vous vous êtes renseigné sur le rôle du DPO et les conditions à remplir pour nommer un DPO, puis vous décider de désigner un DPO afin notamment de réduire les risques de contentieux. Votre choix s'arrête sur un collaborateur qui, à son tour, définit et anime un réseau de correspondants RGPD au sein des différents métiers de l'entreprise.

Etape 2 : Cartographier vos traitements de données à caractère personnel et établir le registre

Après vous avoir formés à la cartographie des traitements et avoir interviewés les responsables de traitements, vous identifiez vos premiers traitements ci-dessous :

Conscient de l'importance d'une bonne cartographie et disposant de peu de temps pour ce faire, vous choisissez Dastra comme solution pour vous faciliter le travail d'achèvement du registre.

Pour faire cela, vous commencez un projet sur Dastra :

Puis, complétez votre registre dans Dastra :

Ci-dessous un exemple de registre respectant le format demandé disponible à l'import et pouvant être importé en "glisser-déposer" dans Dastra :

Remplissez ensuite toutes les informations nécessaires à un traitement en suivant les étapes décrites dans le lien ci-dessous.

Vous partagez le registre avec l'ensemble des responsables de traitement ainsi que votre réseau de correspondants RGPD et demandez validation de toutes les parties prenantes.

Ca y est, votre registre est constitué et vos traitements sont prêts à être protégés !

Pour en savoir plus sur comment éditer votre registre :

Etape 3 : Prioriser les actions à mener

Une fois le registre constitué et sur la base de celui-ci, vous vous attelez à lister l'ensemble des tâches à réaliser pour vous conformer aux obligations actuelles et à venir du Règlement Général de la Protection des Données (RGPD). Puis, vous priorisez ces actions au regard des risques que font peser vos traitements sur les droits et les libertés des personnes concernées.

Une fois les actions nécessaires pour réaliser votre projet de mise en conformité identifiées, vous créez les tâches associées et les allouez aux collaborateurs associés directement dans l'onglet "Planification" de l'outil Dastra :

Pour en savoir plus sur la fonctionnalité "Planification" de Dastra :

Etape 4 : Gérer les risques

Si vous avez identifié des traitements de données personnelles susceptibles d'engendrer des risques élevés pour les droits et libertés des personnes concernées, vous devrez mener, pour chacun de ces traitements, une analyse d'impact relative à la protection des données (AIPD).

Pour vous aider à déterminer si votre traitement est susceptible d’engendrer des risques élevés, les 9 critères suivants sont définis dans les lignes directrices du G29 :

1. Evaluation ou notation;

2. Décision automatisée avec effet juridique ou effet similaire significatif;

3. Surveillance systématique ;

4. Données sensibles ou données à caractère hautement personnel ;

5. Données personnelles traitées à grande échelle ;

6. Croisement d’ensembles de données ;

7. Données concernant des personnes vulnérables ;

8. Usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ;

9. Exclusion du bénéfice d’un droit, d’un service ou contrat.

Ces critères sont directement intégrés à notre workflow de création de traitement de données, et vous pouvez renseigner pour chacun de vos traitements s'il y a eu de réaliser un PIA sur celui-ci ou non.

Etape 5 : Organiser les processus internes

Pour assurer un haut niveau de protection des données personnelles en permanence, vous devez mettre en place des procédures internes qui garantissent la prise en compte de la protection des données à tout moment, en prenant en compte l’ensemble des événements qui peuvent survenir au cours de la vie d’un traitement (ex : faille de sécurité, gestion des demande de rectification ou d’accès, modification des données collectées, changement de prestataire).

Dastra vous permets de digitaliser et d'automatiser au moins partiellement les processus internes ci-dessous:

• La gestion des demandes d'exercice de droits :

• La gestion du consentement aux cookies :

• La gestion des notifications de violation de données :

• La gestion des contrats :

Etape 6 : Documenter la conformité

Pour prouver votre conformité au règlement, vous devez constituer et regrouper la documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu.

Votre dossier devra notamment comporter les éléments suivants :

Si votre documentation démontre que vous respectez les obligations prévues par le règlement européen, alors vous aurez franchi cette étape. Bravo !

​

​

​

​

​